Datenschutzverstöße erkennen und melden

Eine Datenschutzverletzung ist nicht erst der Schaden, sondern schon der unbefugte Zugang zu Daten. Ab der Kenntnis des Unternehmens läuft eine Frist von 72 Stunden — und sie beginnt, sobald Sie es gemeldet haben.

Warum das wichtig ist

Der Satz, der in diesem Kapitel am meisten zählt: Melden ist kein Eingeständnis. Wer einen Fehler sofort weitergibt, hält den Schaden klein; wer zögert, verbraucht Zeit, die dem Unternehmen am Ende fehlt. In fünf von 218 deutschen Verfahren war die nicht erfüllte Meldepflicht der Vorwurf (CMS GDPR Enforcement Tracker, abgerufen 11.10.2026).

Was das Gesetz sagt

Art. 4 Nr. 12 DSGVO: „eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt"
Art. 33 Abs. 1 S. 1 DSGVO: „meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der … zuständigen Aufsichtsbehörde"

So macht man es richtig

Jeden Verdacht sofort an die benannte Stelle melden — auch nachts, auch wenn es peinlich ist.
Nichts löschen und nichts aufräumen. Die Nachricht ist jetzt der Beleg.
Drei Angaben genügen für die Meldung: wann, was passiert ist, auf welchem Gerät.

Was bei Missachtung droht

Verstöße gegen die Meldepflicht aus Art. 33 DSGVO fallen nach Art. 83 Abs. 4 lit. a DSGVO in den Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für Sie persönlich entsteht daraus keine eigene Pflicht gegenüber der Behörde — Adressat der Meldepflicht ist der Verantwortliche.

Im Video: Dieser Lernblock dauert 5:03 und ist Teil des Kurses Datenschutz-Grundschulung für Mitarbeiter.

Stand: 11.10.2026